home *** CD-ROM | disk | FTP | other *** search
/ Tech Arsenal 1 / Tech Arsenal (Arsenal Computer).ISO / tek-12 / vvk1.zip / SCAN93.ZIP / SCAN93.DOC < prev   
Text File  |  1992-06-24  |  42KB  |  1,122 lines
  1.  
  2.  
  3.  
  4.  
  5.  
  6.  
  7.  
  8.  
  9.  
  10.  
  11.  
  12.  
  13.  
  14.  
  15.  
  16.  
  17.  
  18.  
  19.  
  20.  
  21.  
  22.  
  23.  
  24.  
  25.                            VIRUSCAN Version 8.6V93
  26.            Copyright (C) 1989 - 1992 by McAfee Associates
  27.                  All rights reserved.
  28.  
  29.                        Documentation by Aryeh Goretsky.
  30.  
  31.  
  32.  
  33.  
  34.  
  35.  
  36.  
  37.  
  38.  
  39.  
  40.  
  41.  
  42.  
  43.  
  44.  
  45.  
  46.  
  47.  
  48.  
  49.  
  50.  
  51.  
  52.  
  53.  
  54.  
  55.      McAfee Associates            (408) 988-3832 office
  56.      3350 Scott Blvd, Bldg. 14    (408) 970-9727 fax
  57.      Santa Clara, CA  95054       (408) 988-4004 BBS (32 lines)
  58.      U.S.A.                       USR HST/v.32/v.42bis/MNP1-5
  59.                                   CompuServe    GO VIRUSFORUM
  60.                                   InterNet  mcafee@netcom.COM
  61.  
  62.  
  63.  
  64.  
  65.  
  66.                             TABLE OF CONTENTS:
  67.  
  68.  
  69. SYNOPSIS . . . . . . . . . . . . . . . . . . . . . . . . . . .2
  70.   - What is VIRUSCAN?
  71.   - System requirements
  72.  
  73. AUTHENTICITY . . . . . . . . . . . . . . . . . . . . . . . . .2
  74.   - Verifying the integrity of VIRUSCAN
  75.  
  76. WHAT'S NEW . . . . . . . . . . . . . . . . . . . . . . . . . .4
  77.   - New features and viruses in this release
  78.  
  79. OVERVIEW . . . . . . . . . . . . . . . . . . . . . . . . . . .5
  80.   - General description of VIRUSCAN
  81.  
  82. OPERATION and OPTIONS. . . . . . . . . . . . . . . . . . . . .7
  83.   - How to use VIRUSCAN, detailed explanation of switches
  84.  
  85. EXAMPLES . . . . . . . . . . . . . . . . . . . . . . . . . . .14
  86.   - Samples of frequently-used options
  87.  
  88. EXIT CODES . . . . . . . . . . . . . . . . . . . . . . . . . .15
  89.   - For running VIRUSCAN from batch files
  90.  
  91. VIRUS REMOVAL. . . . . . . . . . . . . . . . . . . . . . . . .15
  92.   - How to manually remove a virus
  93.  
  94. REGISTRATION . . . . . . . . . . . . . . . . . . . . . . . . .16
  95.   - How to register VIRUSCAN
  96.  
  97. TECH SUPPORT . . . . . . . . . . . . . . . . . . . . . . . . .16
  98.  - Information you should have ready when calling
  99.  
  100. APPENDIX A . . . . . . . . . . . . . . . . . . . . . . . . . .17
  101.  - Creating a virus string file with the /EXT option
  102.  
  103. APPENDIX B . . . . . . . . . . . . . . . . . . . . . . . . . .18
  104.  - How to check only memory for viruses
  105.  - Validation codes:  Tips and Tricks
  106.  - Reformatting infected floppies with DOS 5.00
  107.  - Creating a Recovery Disk
  108.  
  109.  
  110.  
  111.  
  112.  
  113.  
  114.  
  115.  
  116.  
  117.  
  118.                                     Page 1
  119.  
  120. VIRUSCAN Version 8.6V93                                Page 2
  121.  
  122.  
  123. SYNOPSIS
  124.  
  125.      VIRUSCAN (SCAN) is a virus detection and identification
  126. program for IBM PC and compatible computers.  SCAN will search a
  127. PC for known computer viruses in memory, the partition table,
  128. the boot sector and the files of a PC and disks.  SCAN can
  129. also detect the presence of unknown viruses.
  130.      SCAN works by searching the system for sequences of bytes
  131. unique to each computer virus and then reporting their presence
  132. when found.  This method works for viruses recognized by SCAN.
  133. SCAN also checks for new/unknown viruses by looking for virus-
  134. like code patterns, plus comparisons against previously-stored
  135. validation (checksum) data.  When the enhanced validation mode
  136. is used, CLEAN-UP can restore infected partition tables, boot
  137. sectors, or files infected by unknown (new) viruses (See OPTIONS
  138. for more information on enhanced validation).  The data for the
  139. enhanced validation mode can be stored off-line on disks as a
  140. "Recovery Disk" in case of infection by an unknown virus.
  141. SCAN can also check for new viruses from a user-created list of
  142. virus search strings.
  143.      VIRUSCAN runs on PC's with 320Kb and DOS 2.00 or greater.
  144.  
  145.  
  146. AUTHENTICITY
  147.  
  148.      VIRUSCAN performs a self-check when run.  If SCAN has been
  149. modified in any way, a warning will be displayed and the user
  150. will be prompted to either continue or quit.  SCAN can still
  151. check for viruses, however, if SCAN reports that it has been
  152. damaged, it is recommended that a clean copy be obtained.
  153.      SCAN versions 46 and above are packaged with the VALIDATE
  154. program to ensure the integrity of the SCAN.EXE file.  The
  155. VALIDATE.DOC file tells how to use VALIDATE.  VALIDATE can be
  156. used to check subsequent versions of SCAN for tampering.
  157.  
  158.      The validation results for Version 8.6V93 should be:
  159.  
  160.           FILE NAME: SCAN.EXE
  161.                    SIZE: 76,306
  162.                    DATE: 06-24-1992
  163.     FILE AUTHENTICATION
  164.          Check Method 1: 04C7
  165.          Check Method 2: 17E8
  166.  
  167. If your copy of SCAN differs, it may have been damaged or have
  168. options stored in it with the /SAVE switch.  Run SCAN with only
  169. the /SAVE option to remove any stored options and then re-run
  170. VALIDATE.  Always obtain your copy of VIRUSCAN from a known
  171. source.  The latest version of VIRUSCAN and validation data for
  172. SCAN.EXE can be obtained from McAfee Associates' bulletin board
  173. system at (408) 988-4004 or from the Computer Virus Help Forum
  174. on CompuServe (GO VIRUSFORUM).
  175. VIRUSCAN Version 8.6V93                                Page 3
  176.  
  177.  
  178.      Beginning with Version 72, all of McAfee Associates'
  179. VIRUSCAN series are archived with PKWare's PKZIP Authentic File
  180. Verification.  If you do not see an "-AV" after every file is
  181. unzipped and receive the "Authentic Files Verified! # NWN405
  182. Zip Source: McAFEE ASSOCIATES" message when you unzip the files
  183. then do not use them.  If your version of PKUNZIP does not have
  184. verification ability, then this message may not be displayed.
  185. Please contact us if you believe tampering has occured to the
  186. .ZIP file.
  187.  
  188.  
  189.  
  190.  
  191.  
  192.  
  193.  
  194.  
  195.  
  196.  
  197.  
  198.  
  199.  
  200.  
  201.  
  202.  
  203.  
  204.  
  205.                     [This space intentionally left blank]
  206.  
  207.  
  208.  
  209.  
  210.  
  211.  
  212.  
  213.  
  214.  
  215.  
  216.  
  217.  
  218.  
  219.  
  220.  
  221.  
  222.  
  223.  
  224.  
  225.  
  226.  
  227.  
  228.  
  229.  
  230. VIRUSCAN Version 8.6V93                                Page 4
  231.  
  232.  
  233. WHAT'S NEW
  234.  
  235.      Version 93 replaces Version 91 which generated false
  236. alarms with some of the Vx Virus [Fx] generic strings in files
  237. written with MBP COBOL.  V92 was skipped due to a Trojan horse
  238. of SCAN that appeared in New York.
  239.      Version 91 replaces Version 90 which had a bug in the /CG
  240. switch.
  241.      Several new features have been added in Version 90.
  242. Two new DOS ERRORLEVEL's have been added for creating enhanced
  243. batch files.  An ERRORLEVEL of 3 is returned if an uncertified
  244. file is found when SCAN is run with the /CERTIFY switch.  An
  245. ERRORLEVEL 4 is returned if the user aborts the scan with a
  246. Ctrl-C or Ctrl-Brk.
  247.      A /HISTORY option has been added.   This option functions
  248. similarly to the /REPORT option except that if a report file
  249. exists it will not be overwritten, instead, the new report will
  250. be appended to the end of the existing report file.
  251.      Three new options have been added to the validation
  252. (checksum) suite of commands:  /AF, /CF, and /RF.  These options
  253. allow SCAN to Add, Check, and Remove validation (checksum) data
  254. from a user-specified file.
  255.      Detection of 52 new viruses was added to this release,
  256. bringing the total number of known viruses to 586, or counting
  257. variants, 1,302.  Viruses found at multiple sites include the
  258. 696, a memory-resident, encrypted .COM and .EXE infector; the
  259. 1339, a memory-resident .EXE infector loosely based on the
  260. Jerusalem virus; and Mozkin, a variant of the Haifa virus.
  261.  
  262.  
  263. THE COMPUSERVE COMPUTER VIRUS HELP FORUM
  264.  
  265.      We are now sponsoring the Computer Virus Help Forum on
  266. CompuServe.  Updates to the VIRUSCAN series, information about
  267. computer viruses, and technical support may be obtained by
  268. typing GO VIRUSFORUM at any CompuServe prompt.  A free
  269. introductory membership to CompuServe is also available.  For
  270. more information, please read the COMPUSER.NOT file.
  271.  
  272.  
  273.  
  274.  
  275.  
  276.  
  277.  
  278.  
  279.  
  280.  
  281.  
  282.  
  283.  
  284.  
  285. VIRUSCAN Version 8.6V93                                Page 5
  286.  
  287.  
  288. OVERVIEW
  289.  
  290.      VIRUSCAN is designed to work with stand-alone and networked
  291. PC's, for file servers use the NETSCAN program instead.
  292.      SCAN checks files, subdirectories, diskettes or entire
  293. systems for pre-existing computer virus infections.  It will
  294. identify the virus infecting the system and the area where it
  295. was found.  Infected files can be removed either with the /D
  296. overwrite-and-delete option in SCAN which will erase the file,
  297. or with the CLEAN-UP universal virus disinfection program.  The
  298. CLEAN-UP program is recommended because in most cases it
  299. eliminates the virus and fully restores the program or system
  300. area.
  301.      VIRUSCAN Version 91 identifies all 586 known computer
  302. viruses and their variants.  Some viruses have been modified so
  303. that more than one "strain" exists.  Counting modifications,
  304. there are 1,302 viruses.  This includes the twenty most common
  305. viruses which account for over 95% of all reported infections.
  306. The accompanying VIRLIST.TXT file lists describes all viruses
  307. identified by SCAN.
  308.      All known viruses infect one or more of the following
  309. areas: the hard disk partition table (alias Master Boot Record);
  310. the DOS Boot Sector of disks; or one or more executable files on
  311. the system.  Executable files include operating system files,
  312. .COM files, .EXE files, overlay files, or any other files
  313. containing program code.  A virus that infects more than one
  314. area, such as a boot sector and an executable file is called
  315. a multipartite virus.
  316.      VIRUSCAN identifies every system area or file infected,
  317. and gives the name of the virus and the I.D. code used with
  318. CLEAN-UP to remove it.
  319.      VIRUSCAN can also check for unknown viruses with the Check
  320. Validation options (/CV, /CG and /CF).  This is done by
  321. calculating a checksum for files and system areas and then
  322. comparing against that checksum.  The checksum can be stored at
  323. the end of .COM and .EXE files or saved to a user-specified file
  324. which can then be stored offline (e.g., on floppies) for
  325. recovery purposes.  If the file has been modified, the check
  326. will no longer match, indicating that viral infection may have
  327. occurred.  When run in the Enhanced Validation (/CG or /CF)
  328. modes, information will be saved that can be used to restore
  329. files or areas of the system that have been damaged by
  330. unknown (new) viruses.
  331.      VIRUSCAN calculates checksums using two independently-
  332. generated CRC's (Cyclic Redundancy Check).  Files which are
  333. self-checking (e.g., Lotus 1-2-3) should not be validated with
  334. the /AV (Add Validation) or /AG (Add Generic) switches which
  335. modify files.  Instead, use the /AF (Add File) switch, which
  336. stores its data in a separate file.  See the entries for /AF,
  337. /AG, and /AV under OPERATION and OPTIONS for more information.
  338.  
  339.  
  340. VIRUSCAN Version 8.6V93                                Page 6
  341.  
  342.  
  343.      When SCAN is run with the /AV or /AG switches it adds
  344. validation codes to .COM and .EXE files only.  The validation
  345. codes for the partition table, boot sector, and system files are
  346. kept in a hidden file called SCANVAL.VAL in the root directory.
  347.      VIRUSCAN can check for unknown (new viruses) in the boot
  348. sector and partition table.  When virus-like code is found in
  349. either area SCAN indicates it has found a Generic Boot Sector
  350. or MBR Virus, respectively.
  351.      VIRUSCAN can be updated to search for new viruses by an
  352. External Virus Data File, which allows the user to input new
  353. search strings for viruses.
  354.      After seven months have passed VIRUSCAN will display a
  355. message that it may no longer be current.  However, SCAN will
  356. continue to function as normal.  This message can be bypassed
  357. by running SCAN with the /NOEXPIRE switch.
  358.      VIRUSCAN displays messages in English, French, or Spanish.
  359.  
  360.  
  361.  
  362.  
  363.  
  364.  
  365.  
  366.  
  367.  
  368.  
  369.  
  370.  
  371.  
  372.  
  373.  
  374.  
  375.  
  376.  
  377.  
  378.  
  379.  
  380.  
  381.  
  382.  
  383.  
  384.  
  385.  
  386.  
  387.  
  388.  
  389.  
  390.  
  391.  
  392.  
  393.  
  394.  
  395. VIRUSCAN Version 8.6V93                                Page 7
  396.  
  397.  
  398. OPERATION and OPTIONS
  399.  
  400. IMPORTANT NOTE:  WRITE PROTECT YOUR FLOPPY DISK BEFORE SCANNING
  401.                  TO PREVENT INFECTION OF THE VIRUSCAN PROGRAM.
  402.  
  403.      VIRUSCAN checks files and other areas of the system that
  404. can contain a computer virus.  When a virus is found, SCAN
  405. identifies the virus and the file or system area where it was
  406. found.
  407.      SCAN examines files based on their extension.  The default
  408. extensions supported by SCAN are .APP, .BIN, .COM, .EXE, .OV?,
  409. .PGM, .PIF, .PRG, .SWP, .SYS, and .XTP.  Additional extensions
  410. can be added with the /EXT option, or use the /A to check all
  411. files on the disk.
  412.  
  413.  
  414. Valid options for VIRUSCAN are:
  415.  
  416. SCAN d1: ... d26:   /? /A /AF filename /AG filename /AV filename
  417.                     /BELL /CERTIFY /CF filename /CHKHI /CG /CV
  418.                     /D /DATE /E .xxx .yyy .zzz /EXT filename
  419.                     /FAST /FR /H /HELP /HISTORY filename /MAINT
  420.                     /MANY /NLZ /NOBREAK /NOEXPIRE /NOMEM
  421.                     /NOPAUSE /NPKL /REPORT filename /RF filename
  422.                     /RG /RV /SAVE /SHOWDATE /SP /SUB @filename
  423.  
  424. Options are:
  425.  
  426.                \ - Scan root directory and boot area only
  427.      /? /H /HELP - Display help screen
  428.           /A - Scan all files, including data, for viruses
  429.     /AF filename - Store recovery data/validation codes to file
  430.     /AG filename - Add recovery data/validation codes to files
  431.                    EXCEPT those listed in filename
  432.     /AV filename - Add validation codes to files EXCEPT those
  433.                    listed in filename
  434.            /BELL - Beep whenever a virus is found
  435.     /CERTIFY - List files that do not have a validation code
  436.     /CF filename - Check for viruses using recovery data/
  437.                    validation codes stored in filename
  438.       /CHKHI - Check memory from 0Kb to 1088Kb
  439.          /CG - Check recovery data/validation codes on files
  440.          /CV - Check validation codes on files
  441.           /D - Overwrite and delete infected file
  442.        /DATE - Save the date and time VIRUSCAN was last run
  443.                    (use /SHOWDATE to display date and time)
  444.     /E .xxx .yyy - Scan overlay extensions .xxx .yyy .zzz
  445.    /EXT filename - Scan using external virus data file
  446.            /FAST - Speed up VIRUSCAN's output
  447.                    (see below for specifics)
  448.  
  449.  
  450. VIRUSCAN Version 8.6V93                                Page 8
  451.  
  452.  
  453.          /FR - Display messages in French
  454. /HISTORY filenam - Create infection log, appending to old log
  455.           /M - Scan memory for all viruses
  456.            (see below for specifics)
  457.           /MAINT - Scan "invalid media" error (damaged) disk
  458.        /MANY - Scan multiple floppies
  459.             /NLZ - Skip internal scan of LZEXE-compressed files
  460.         /NOBREAK - Disable Ctrl-C and Ctrl-Brk during scanning
  461.        /NOEXPIRE - Do not display expiration notice
  462.       /NOMEM - Skip memory checking
  463.     /NOPAUSE - Disable screen pause when scanning
  464.            /NPKL - Skip internal scan of PKLITE-compressed files
  465. /REPORT filename - Create infection log, deleting old log
  466.     /RF filename - Remove recovery data/validation codes stored
  467.                    in filename
  468.              /RG - Remove recovery data/validation codes from
  469.                    files
  470.          /RV - Remove validation codes from specified files
  471.            /SAVE - Save specified command line options as new
  472.                    defaults
  473.        /SHOWDATE - Show date and time SCAN was last run
  474.                    (use /DATE to save date and time)
  475.          /SP - Display messages in Spanish
  476.             /SUB - Scan subdirectories under a subdirectory
  477.        @filename - Scan using options from configuration file
  478.  
  479.     (d1: ... d26: indicate drives to be scanned)
  480.  
  481.  
  482.      The /A option checks all files on the drive scanned.  This
  483. substantially increases the time required to scan disks, so
  484. it is recommended this swich only be used when installing new
  485. software or if a file-infecting virus has been found.  This
  486. option takes priority over the /E option.
  487.      The /AF option logs recovery data and validation codes
  488. for .COM and .EXE files, boot sector, and partition table of a
  489. disk to a user-specified file that can be located on any drive.
  490. The size of the file is about 20K per 1,000 files validated.
  491. The syntax is /AF filename, where "filename" is the path and
  492. file where recovery data and validation codes are stored.
  493.      The /AG option allows the user to store recovery data and
  494. validation codes for .COM and .EXE files, boot sector, and
  495. partition table of a disk.  Recovery information adds fifty-two
  496. (52) bytes to files.  The recovery information for the partition
  497. table, boot sector, COMMAND.COM and system files is stored
  498. seperately in a hidden file called SCANVAL.VAL in the root
  499. directory of the drive being scanned.  It is otherwise similar
  500. to the /AV option below.  Recovery requires the CLEAN-UP
  501. (CLEAN.EXE) program.
  502.  
  503.  
  504.  
  505. VIRUSCAN Version 8.6V93                                Page 9
  506.  
  507.  
  508.      The /AV option allows the user to add validation codes to
  509. .COM and .EXE files being scanned.  If the whole drive is
  510. specified, SCAN will create validation data for the partition
  511. table, boot sector, COMMAND.COM and system files and store them
  512. seperately in a hidden file called SCANVAL.VAL in the root
  513. directory of the drive being scanned.  Validation adds ten (10)
  514. bytes to files; the validation data for the partition table,
  515. boot sector, and system files is stored separately in a hidden
  516. file named SCANVAL.VAL in the root directory of the scanned
  517. drive.  Files which are immunized against viruses or contain
  518. self-modifying code should not have validation codes added to
  519. them.  To prevent SCAN from adding validation codes to these
  520. files, a validation exception list must be created with the path
  521. and filename of each file NOT to be validated listed on each
  522. line.  Only one file should be on a line.  To put a comment in,
  523. start a line with the asterisk "*" character.  This sample file
  524. contains a list of programs NOT to validate:
  525.  
  526. *This is Nantucket Corp's database program, Clipper
  527. C:\CLIPPER\BIN\CLIPPER.EXE
  528. *This is Lotus Development Corp's spreadsheet program, 1-2-3
  529. C:\123\123.COM
  530. *This is MS-DOS 5.00's self-modifying program, SETVER
  531. C:\DOS\SETVER.EXE
  532. *PKWare's data compression programs already perform a self-check
  533. C:\PKWARE\PKLITE.EXE
  534. C:\PKWARE\PKZIP.EXE
  535. C:\PKWARE\PKUNZIP.EXE
  536. *Stac Technologies hard disk swapping program
  537. C:\SWAPVOL.COM
  538. *Symantec's Norton Utilities V6.01 disk caching program
  539. C:\NORTON\NCACHE.EXE
  540. *WordStar Corp's word processor is self-modifying
  541. C:\WORDSTAR\WS.EXE
  542.  
  543. The validation exception list should be an ASCII text file.  If
  544. a word processor is used to create the list, be sure to save
  545. the file as ASCII.
  546.      The /BELL option will cause VIRUSCAN to beep each time a
  547. computer virus is found.
  548.      The /CERTIFY option will audit a system for files that have
  549. validation codes added to them with the /AG or /AV switches.
  550. Files that have no validation code will be reported as being
  551. uncertified by VIRUSCAN and an ERRORLEVEL of 3 will be returned
  552. after SCAN is run.
  553.      The /CF option checks recovery data and validation codes
  554. added by the /AF option.  The syntax is /CF filename, where
  555. "filename" is the path and file name where recovery data
  556. and validation codes are stored.
  557.  
  558.  
  559.  
  560. VIRUSCAN Version 8.6V93                                Page 10
  561.  
  562.  
  563.      The /CG option checks recovery data and validation codes
  564. added by the /AG option.  If a file or system area has changed,
  565. SCAN will report that the file or system area has been modified
  566. and a viral infection may have occurred.  The /CG option takes
  567. priority over the /CV option.
  568.      The /CHKHI option checks the memory above 640Kb that can be
  569. used on AT (286) and 386 systems for computer viruses.  This
  570. includes the 384Kb Upper Memory Area from 640Kb to 1024Kb, and
  571. the 64Kb High Memory Area from 1024Kb to 1088Kb.  On XT systems
  572. with extended memory cards installed, this will cause the first
  573. 64K of RAM to be scanned again.  This option cannot be used
  574. with the /NOMEM option.
  575.      The /CV option checks validation codes inserted by the /AV
  576. option.  If a file or system area has been changed, SCAN will
  577. report that the file or system area has been modified and a
  578. viral infection may have occurred.  Using the /CV option adds
  579. about 25% more time to scanning.  
  580.  
  581. NOTE:  Some older Hewlett Packard and Zenith PC's modify the
  582. boot sector each time the system is booted.  This will cause
  583. SCAN to continually notify the user of boot sector modifications
  584. if the /CV switch is selected.  Check your system's manual to
  585. determine if your system contains self-modifying boot code.
  586.  
  587.      The /D option tells VIRUSCAN to prompt the user to
  588. overwrite and delete an infected file when one is found.  A file
  589. erased by the /D option cannot be recovered.  If the CLEAN-UP
  590. program is available, it can be used to disinfect the file.
  591. Boot sector and partition table infectors cannot be removed by
  592. the /D option and require the CLEAN-UP virus removal program.
  593.      The /DATE option stores the time and date the VIRUSCAN
  594. program was last run.  This is done by changing the date on the
  595. SCANVAL.VAL file.  If no such file exists, SCAN will create a
  596. 0-byte long SCANVAL.VAL file in the currently-logged directory.
  597.      The /E option allows the user to specify an extension or
  598. set of extensions to scan.  Extensions should include a period
  599. "." and should also be separated by a space after the /E.  Up to
  600. three extensions may be added with the /E.  For more extensions,
  601. use the /A option.
  602.      The /EXT option allows VIRUSCAN to search for viruses from
  603. a text file containing user-defined search strings in addition
  604. to the viruses that SCAN already identifies.  The syntax for
  605. using the external virus data file is /EXT d:filename, where d:
  606. is the drive name and filename is the name of the external virus
  607. data file.  For instructions on how to create an external virus
  608. data file, refer to Appendix A.
  609.  
  610. NOTE:  The /EXT option provides users with the ability to add
  611.        strings for detection of viruses on an interim or
  612.        emergency basis.  When used with the /D option, it will
  613.        overwrite-and-delete infected files.  This option is not
  614.        for general use and should be used with caution.
  615. VIRUSCAN Version 8.6V93                                Page 11
  616.  
  617.  
  618.      The /FAST option will speed SCAN up by displaying fewer
  619. messages on the screen, skipping checking inside of LZEXE- and
  620. PKLITE-compressed files, and examining a smaller portion of
  621. files during scanning.  This may reduce the accuracy of SCAN.
  622.      The /FR option tells VIRUSCAN to output all messages in
  623. French instead of English.  The /FR option cannot be used with
  624. the /SP (Spanish) option.
  625.      The /HISTORY option saves a list of infected files to
  626. disk.  The list is saved to disk as an ASCII text file.  If a
  627. list exists, then the results of the current scan will be added
  628. to the end.  The syntax is /HISTORY filename, where "filename"
  629. is the path and name of the report file.
  630.      The /M option tells VIRUSCAN to check system memory for all
  631. known computer viruses that can inhabit memory.  SCAN by default
  632. only checks memory for critical and "stealth" viruses, which are
  633. viruses which can cause catastrophic damage or spread the virus
  634. infection during the scanning process.  By default, SCAN will
  635. check memory for the following viruses:
  636.  
  637.    1024           1253          1554          1963
  638.    1971           2560          337           3445-Stealth
  639.    4096           512           Anthrax       Antitelefonica
  640.    Brain          Caz           CD            Dark Avenger
  641.    Dir-2          Doom II       Empire        Fish
  642.    Flu-2          Form          Greemlin      Irish
  643.    Joshi          Leech         Lozinsky      Microbes
  644.    Mirror         Nomenklatura  NOP           No-Int (Stoned III)
  645.    P1R (Phoenix)  Phantom       Plastique     Pogue
  646.    SBC            Sentinel      Stoned        Sunday-2
  647.    SVC            Taiwan3       Tequila       Turbo (Polish-2)
  648.    Twin-351       V2100         V2P6          Whale
  649.  
  650. If one of these viruses is found in memory, SCAN will stop and
  651. tell the user to power down, and reboot the system from a virus-
  652. free system-bootable disk.  The /M option adds 6 to 20 seconds.
  653.  
  654. NOTE:  Using the /M option with another anti-viral software
  655.        package may result in false alarms if the other package
  656.        does not remove its virus search strings from memory.
  657.  
  658.      The /MAINT option is used to scan hard disks partitioned
  659. with DOS 4.0 or above that have been damaged by a boot sector
  660. or partition table infecting virus.  Attempts to access disks
  661. damaged in such a manner result in an "invalid media" message
  662. being displayed.  The /MAINT option will only scan the partition
  663. table and boot sector, not the files.
  664.      The /MANY option is used to scan multiple diskettes placed
  665. in a given drive.  If the user has more than one floppy disk to
  666. check for viruses, the /MANY option will allows the user to
  667. check disks without having to re-run SCAN multiple times.
  668. After the system has been disinfected, the /MANY and /NOMEM
  669. options can be used together to speed up the scanning of disks.
  670. VIRUSCAN Version 8.6V93                                Page 12
  671.  
  672.  
  673.      The /NLZ option tells SCAN not to look inside files
  674. compressed with LZEXE, a file compression program.  SCAN will
  675. still check the LZEXE-compressed files for viruses that have
  676. infected after file compression.
  677.      The /NOBREAK option prevents Ctrl-C or Ctrl-Brk from
  678. aborting the scanning process.
  679.      The /NOMEM option is used to turn off all memory checking
  680. for viruses in order to speed up the scanning process.  It
  681. should only be used when a system is known to be virus-free.
  682. The /NOMEM option can not be used with the /CHKHI or /M options.
  683.      The /NOEXPIRE option disables the warning message that
  684. SCAN displays after seven months warning that it may no longer
  685. be current with respect to known computer viruses.
  686.      The /NOPAUSE option disables the "More? (H = Help )" prompt
  687. that is displayed when SCAN fills up a screen with messages.
  688. This allows SCAN to run on PC's with severe infections without
  689. requiring operator assistance.
  690.      The /NPKL option tells SCAN not to look inside files
  691. compressed with PKLITE, a file compression program.  SCAN will
  692. still check the PKLITE-compressed files for viruses that have
  693. infected after file compression.
  694.      The /REPORT option saves a list of infected files to
  695. disk.  The list is saved to disk as an ASCII text file.  If a
  696. list exists, then it will be overwritten with the new list.
  697. The syntax is /REPORT filename, where "filename" is the path
  698. and name of the report file.
  699.      The /RF option will remove recovery data and validation
  700. codes for files from the recovery data and validation code
  701. file.  The syntax is /RF filename, where "filename" is the path
  702. and file where recovery data and validation codes are stored.
  703.      The /RG option will remove validation codes and recovery
  704. information from files validated with the /AG option.
  705.      The /RV option is used to remove validation codes from a
  706. file or files.  It can be used to remove the validation code
  707. from a diskette, subdirectory, or file(s).  Using /RV on a disk
  708. will remove the partition table, boot sector, and system file
  709. validation.  This option cannot be used with the /AV option.
  710.      The /SAVE option is used to store SCAN options for
  711. subsequent executions of SCAN.  Options are stored by modifying
  712. the SCAN.EXE executable file.  For example:
  713.  
  714.      SCAN /NOMEM /REPORT FILE1 /NOPAUSE /SAVE
  715.  
  716. will set the default options to /NOMEM, /REPORT and /NOPAUSE.
  717. If SCAN is run with just the /SAVE switch, then all options are
  718. removed and SCAN execute with its original settings.
  719.      If you do not wish to modify the SCAN.EXE file, use the
  720. @filename option instead, which allows you to store the SCAN
  721. options in a separate text file.
  722.  
  723.  
  724.  
  725. VIRUSCAN Version 8.6V93                                Page 13
  726.  
  727.  
  728. NOTE:  VALIDATE 0.4 must be used to validate SCAN version 89 or
  729.        above if /SAVE is used.  /SAVE directly modifies SCAN.EXE
  730.        and the validate codes will no longer match if an older
  731.        version of VALIDATE is used.  VALIDATE 0.4 will generate
  732.        the correct validation results even if the /SAVE option
  733.        has been used.  Third party file-integrity check programs
  734.        may not produce the same results after the /SAVE option
  735.        is used.  The /SAVE option should be added to SCAN by the
  736.        Systems Administrator prior to final installation on PC's
  737.        if other integrity checking programs are in use.
  738.  
  739.      The /SHOWDATE option displays the time and date that SCAN
  740. was last run.  No virus checking is performed
  741.  
  742. NOTE:  When run with /SHOWDATE, SCAN only displays the last run
  743.        date.  Viruses will *NOT* be checked for.
  744.  
  745.      The /SP option tells VIRUSCAN to output all messages in
  746. Spanish instead of English.  This option can not be used with
  747. the /FR (French) option.
  748.      The /SUB scans all subdirectories inside a subdirectory.
  749. Previously, SCAN would only recursively check subdirectories
  750. if a logical device (e.g., C:) was scanned.
  751.      The @FILENAME option allows the user to store a list of
  752. options and/or system areas to be scanned in a configuration
  753. file.  Options need to be separated by a space, while system
  754. areas (disks, subdirectories, or files) need to be on separate
  755. lines.  A sample file might look like this:
  756.  
  757. /A /BELL /CV /NOMEM /REPORT C:\VIRUSCAN\SCAN.LOG
  758. C:
  759. D:\BBS
  760. E:\MCAFEE\CLEAN-UP\CLEAN.EXE
  761.  
  762. The first line contains the VIRUSCAN options while other lines
  763. contain the names of disks, subdirectories, or files to scan.
  764. The configuration file should be an ASCII text file.  If a word
  765. processor is used to create the list, be sure to save as ASCII.
  766.  
  767.  
  768.  
  769.  
  770.  
  771.  
  772.  
  773.  
  774.  
  775.  
  776.  
  777.  
  778.  
  779.  
  780. VIRUSCAN Version 8.6V93                                Page 14
  781.  
  782.  
  783. EXAMPLES
  784.  
  785.      The following examples show different option settings:
  786.  
  787.      SCAN C:
  788.      To scan drive C:
  789.  
  790.      SCAN A:R-HOOPER.EXE
  791.          Scans file "R-HOOPER.EXE" on drive A:
  792.  
  793.      SCAN A: /A /CV
  794.          To scan all files and check validation codes for unknown
  795.      viruses on drive A:.
  796.  
  797.      SCAN B: /D /A
  798.          Scans all files on drive B: and prompt for erasure of
  799.          any infected files, if found.
  800.  
  801.      SCAN C: D: E: /AV /NOMEM
  802.          To add validation codes to files on drives C:, D:, and
  803.      E:, and skip memory checking.
  804.  
  805.      SCAN C: D: /M /A /FR
  806.          Scan memory for all viruses, all files on drives C: and
  807.          D:, and output all messages in French.
  808.  
  809.      SCAN C: D: /E .WPM .COD
  810.          Scans drives C: and D:, including .WPM and .COD files 
  811.  
  812.      SCAN C: /EXT A:SAMPLE.ASC /BELL
  813.          To scan drive C: for known computer viruses and also
  814.          for viruses added by the user via the external virus
  815.          data file option, and beep whenever a virus is found.
  816.  
  817.      SCAN C: /M /NOPAUSE /REPORT A:INFECTN.RPT
  818.      To scan for all viruses in memory and drive C: without
  819.          stopping, and create a log file INFECTN.RPT on drive A:
  820.  
  821.      SCAN C: D: /NOPAUSE /REPORT B:VIRUS.RPT
  822.      To scan drives C: and D: for viruses without stopping,
  823.      and create a log on drive B: called VIRUS.RPT
  824.  
  825.      SCAN E:\DOWNLOADS /SUB
  826.      To scan all subdirectories under DOWNLOADS on drive E:
  827.  
  828.      SCAN C: D: E: /FAST /CERTIFY
  829.      To perform a fast scan of drives C:, D:, and E: and
  830.      check for any files that do not have validation codes.
  831.  
  832.      SCAN @C:\SCANOPTN.LST
  833.      To run VIRUSCAN using configuration file SCANOPTN.LST
  834.      in the root directory of drive C:.
  835. VIRUSCAN Version 8.6V93                                Page 15
  836.  
  837.  
  838. EXIT CODES
  839.  
  840.      After VIRUSCAN has finished running, it will set the DOS
  841. ERRORLEVEL.  ERRORLEVEL's are used in batch files to pass the
  842. results of a program's actions.  The ERRORLEVEL's returned by
  843. SCAN are:
  844.  
  845.      ERRORLEVEL │ DESCRIPTION
  846.      ═══════════╪═════════════════════════════════
  847.      0      │ No viruses found
  848.      1      │ One or more viruses found
  849.      2      │ Abnormal termination (program error)
  850.      3      │ One or more uncertified files found 
  851.      4      │ Ctrl-C or Ctrl-Break aborted scan
  852.  
  853. If a user stops the scanning process, SCAN will set the
  854. ERRORLEVEL to 3.  The /NOBREAK option can be used to prevent
  855. users from stopping SCAN.
  856.  
  857.  
  858. VIRUS REMOVAL
  859.  
  860.      What do you do if a virus is found?  You can contact McAfee
  861. Associates for help by BBS, FAX, telephone, Internet, or
  862. CompuServe.  There is no charge for support calls to McAfee
  863. Associates.
  864.      The CLEAN-UP universal virus disinfection program can
  865. disinfect virtually all reported computer viruses.  It is
  866. updated with each release of the SCAN program to remove new
  867. viruses.  CLEAN-UP can be downloaded from McAfee Associates'
  868. BBS, the SIMTEL20 archives on the InterNet, the Computer Virus
  869. Help Forum on CompuServe, or from any of the agents listed in
  870. the enclosed AGENTS.TXT text file.
  871.      It is strongly recommended that you get experienced help in
  872. dealing with viruses if you are unfamilar with anti-virus
  873. software and methods.  This is especially true for 'critical'
  874. viruses and partition table/boot sector infecting viruses as
  875. improper removal of these viruses can result in the loss of
  876. all data and the use of the infected disk(s).  [For a listing of
  877. critical viruses, see the /M switch listed under OPTIONS above.]
  878.      For qualified assistance in removing a virus, please
  879. contact McAfee Associates directly or any of the Authorized
  880. McAfee Associates Agents in your area.  Agents may charge McAfee
  881. Associates' normal support rates for their services.
  882.      If you wish to remove a file-infecting virus manually, you
  883. can run SCAN with the /A and /D switches to erase all infected
  884. files.
  885.      Before removing a boot sector or partition table-infecting
  886. virus, it is recommended that you cold boot the infected PC from
  887. a clean DOS disk and backup any critical data.
  888.  
  889.  
  890. VIRUSCAN Version 8.6V93                                Page 16
  891.  
  892.  
  893. REGISTRATION
  894.  
  895.      A registration fee of US$25.00 is required for the use of
  896. VIRUSCAN by individual home users.  Registration entitles the
  897. holder to unlimited free upgrades from McAfee Associates' BBS
  898. or the Computer Virus Help Forum on CompuServe and technical
  899. support for one year.  When registering, a diskette containing
  900. the latest version may be requested for an additional US$9.00.
  901. Only one diskette mailing will be made.
  902.      Registration is for home users only and does not apply to
  903. businesses, corporations, organizations, government agencies, or
  904. schools, which must obtain a license for use.  Contact McAfee
  905. Associates directly or an Authorized Agent for more information.
  906.  
  907.  
  908. TECH SUPPORT
  909.  
  910.      For fast and accurate help, please have the following
  911. information ready when you contact McAfee Associates:
  912.  
  913.      -    Program name and version number.
  914.  
  915.      -    Type and brand of computer, hard disk, plus any
  916.       peripherals.
  917.  
  918.      -    Version of DOS plus any TSRs or device drivers in use.
  919.  
  920.      -    Printouts of your AUTOEXEC.BAT and CONFIG.SYS files.
  921.  
  922.      -    A printout of what is in memory from the MEM command
  923.           (DOS 4 and above users only) or a similar utility.
  924.  
  925.      -    The exact problem you are having.  Please be as
  926.           specific as possible.  Having a printout of the
  927.           screen and/or being at your computer be will helpful.
  928.  
  929. McAfee Associates can be contacted by BBS, CompuServe, FAX, or
  930. InterNet 24 hours a day, or by telephone at (408) 988-3832,
  931. Monday through Friday, 7:00AM to 5:30PM Pacific Time.
  932.  
  933.      McAfee Associates             (408) 988-3832 office
  934.      3350 Scott Blvd. Bldg. 14     (408) 970-9727 fax
  935.      Santa Clara, CA  95054-3107   (408) 988-4004 BBS (32 lines)
  936.      U.S.A                         USR HST/v.32/v.42bis/MNP 1-5
  937.                                    CompuServe     GO VIRUSFORUM
  938.                                    Internet   mcafee@netcom.com
  939.  
  940. If you are overseas, there may be an Authorized McAfee Associates
  941. Agent in your area.  Please refer to the AGENTS.TXT file for a
  942. listing of McAfee Associates Agents for support or sales.
  943.  
  944.  
  945. VIRUSCAN Version 8.6V93                                Page 17
  946.                                
  947.  
  948. APPENDIX A:  Creating a Virus String File with the /EXT Option
  949.  
  950. NOTE:  The /EXT option is intended for emergency and research
  951.        use only.  It is a temporary method for identifying new
  952.        viruses prior to the subsequent release of SCAN.  A
  953.        thorough understanding of viruses and string-search
  954.        techniques is advised for using this option.  A string
  955.        length of 10 to 15 bytes is recommended.
  956.  
  957.      The External Virus Data file should be created with an
  958. editor or a word processor and saved as an ASCII text file.  Be
  959. sure each line ends with a Carriage Return/Line Feed pair.
  960.  
  961.  
  962.      The virus string file uses the following format:
  963.  
  964. #Comment about Virus_1
  965. "aabbccddeeff..." Virus_1_Name
  966. #Comment about Virus_2
  967. "gghhiijjkkll..." Virus_2_Name
  968.      .
  969.      .
  970. "uuvvwwxxyyzz..." Virus_n_Name
  971.  
  972.  
  973. Where aa, bb, cc, etc. are the hexadecimal bytes that you wish
  974. to scan for.  Each line in the file represents one virus.  The
  975. Virus Name for each virus is mandatory, and may be up to 25
  976. characters in length.  The double quotes (") are required at the
  977. beginning and end of each hexadecimal string.
  978.      SCAN will use the string file to search memory, the
  979. Partition Table, Boot Sector, System files, all .COM and .EXE
  980. files, and overlay files with the extension .APP, .BIN, .COM,
  981. .EXE, .OV?, .PGM, .PIF, .PRG, .SWP, .SYS, and .XTP.
  982.      Virus strings may contain wild cards.  The two wildcard
  983. options are:
  984.  
  985. FIXED POSITION WILDCARD
  986.      The question mark "?" may be used to represent a wildcard
  987. in a fixed position within the string.  For example, the string:
  988.  
  989.            "E9 7C 00 10 ? 37 CB"
  990.  
  991. would match "E9 7C 00 10 27 37 CB", "E9 7C 00 10 9C 37 CB", or
  992. any other similar string, regardless of the fifth byte.
  993.  
  994.  
  995.  
  996.  
  997.  
  998.  
  999.  
  1000. VIRUSCAN Version 8.6V93                                Page 18
  1001.  
  1002.  
  1003. RANGE WILDCARD
  1004.  
  1005.      The asterisk "*", followed by range number in parentheses
  1006. "(" and ")" is used to represent a variable number of adjoining
  1007. random bytes.  For example, the string:
  1008.  
  1009.            "E9 7C *(4) 37 CB"
  1010.  
  1011. would match "E9 7C 00 37 CB", "E9 7C 00 11 37 CB", and
  1012. "E9 7C 00 11 22 37 CB".  The string "E9 7C 00 11 22 33 44 37 CB"
  1013. would not match since the distance between 7C and 37 is greater
  1014. than four bytes.  You may specify a range of up to 99 bytes.
  1015. Up to 10 different wildcards of either kind may be used in one
  1016. virus string.
  1017.                          
  1018.  
  1019. COMMENTS
  1020.      A pound sign "#" at the begining of a line will denote a
  1021. comment.  Use this for adding notes to the external virus data
  1022. file.  For example:
  1023.  
  1024.            #New .COM virus found in file FRITZ.EXE from
  1025.            #Schneiderland on 01-22-91
  1026.            "53 48 45 45 50" Fritz-1 [F-1]
  1027.  
  1028. gives a description of the virus, name of the infected file,
  1029. where and when it was found, etc.
  1030.  
  1031.  
  1032. APPENDIX B:  Miscellaneous Application Notes
  1033.  
  1034.  
  1035. CHECKING MEMORY FOR VIRUSES ONLY
  1036.  
  1037.      VIRUSCAN can perform a quick check for viruses in memory
  1038. only.  In this mode, SCAN will not check the disk for viruses.
  1039. This option is useful for network administrators who need to
  1040. check workstations for viruses before allowing them to log on to
  1041. a LAN but cannot run the VSHIELD program due to memory
  1042. constraints.  The command for this is:
  1043.  
  1044.      SCAN NUL /M /CHKHI
  1045.  
  1046. By designating NUL as the drive to be scanned, SCAN will check
  1047. system memory for viruses (up to 1088Kb if the /CHKHI option is
  1048. used) and then return to DOS without scanning any disks.  SCAN
  1049. returns the DOS ERRORLEVEL in the normal manner.
  1050.  
  1051.  
  1052.  
  1053.  
  1054. VIRUSCAN Version 8.6V93                                Page 19
  1055.  
  1056.  
  1057. VIRUSCAN VALIDATION CODES
  1058.  
  1059.      If you have installed any new software or programs on your
  1060. system, and are running VIRUSCAN or VSHIELD with the /CF, /CG,
  1061. or /CV validation codes options, you will need to reinstall
  1062. validation codes to the new files with the /AF, /AG, or /AV
  1063. add validation codes options of SCAN.  In addition, the
  1064. SCANVAL.VAL hidden file containing validation codes for the
  1065. partition table, boot sector, COMMAND.COM, and system files may
  1066. have to be replaced (unhide the file with the DOS ATTRIB command
  1067. and then delete it).
  1068.      The quickest way to update the validation codes is to
  1069. remove all validation codes from the hard disk and then add them
  1070. back by running SCAN with the /RV and then the /AV options.
  1071.  
  1072. NOTE: This applies to any new version of DOS, as well as any
  1073. programs which you install on your system.
  1074.  
  1075.  
  1076. REFORMATTING INFECTING FLOPPIES WITH DOS 5.00
  1077.  
  1078.      When reformatting infected floppy disks under DOS 5.0, be
  1079. sure to add the /U switch to the FORMAT command.  This tells DOS
  1080. to do an Unconditional Format of the disk, without saving the
  1081. original infected boot sector of the disk.  This should be done
  1082. to prevent the reinfection by unformatting the disk.
  1083.  
  1084.  
  1085. CREATING A RECOVERY DISK USING THE /AF OPTION
  1086.  
  1087.      The /AF switch added in Version 90 of SCAN creates a
  1088. separate file to store recovery data and validation codes.
  1089. This file can be stored off-line (on a floppy disk, network
  1090. drive, tape drive, etc.) and accessed on-demand to check for,
  1091. and recover from,infection by unknown viruses.
  1092.      To create a Recovery Disk, format a system-bootable floppy
  1093. and copy the VIRUSCAN (SCAN.EXE) and CLEAN-UP (CLEAN.EXE) files
  1094. to it.  Then run SCAN against the hard disk with the /AF option.
  1095. For example:
  1096.  
  1097.                    SCAN C: D: /AF A:\SCANCRC.CRC
  1098.  
  1099. will scan the C: and D: drives for known viruses and create
  1100. a file named SCANCRC.CRC containing recovery data and validation
  1101. codes.  After SCAN finishes, write-protect the disk.
  1102.      To check for virus infection, turn the PC off, insert the
  1103. Recovery Disk, and turn the power back on.  The PC will now boot
  1104. from the floppy disk.  At the DOS prompt, type:
  1105.  
  1106.                    SCAN C: D: /CF A:\SCANCRC.CRC
  1107.  
  1108. to compare drives C: and D: against the recovery data stored
  1109. in the SCANCRC.CRC file on the A: drive.
  1110. VIRUSCAN Version 8.6V93                                Page 20
  1111.  
  1112.  
  1113.      To disinfect your system, turn your PC off, insert the
  1114. Recovery Disk, and turn the power back on.  The PC will now
  1115. boot from the floppy disk.  At the DOS prompt, type:
  1116.  
  1117.                    CLEAN C: D: /GF A:\SCANCRC.CRC
  1118.  
  1119. to restore drives C: and D: with the recovery data stored in the
  1120. SCANCRC.CRC file on the A: drive.
  1121.  
  1122.